Nakon hakerskog napada ili ransomwarea: oporavak bez ponovne zaraze

Modul 8: Kad nešto pođe po zlu · Vrijeme čitanja: 11 minuta

Cilj lekcije: Nakon ove lekcije moći ćete proći kroz fazu oporavka nakon hakerskog napada ili ransomwarea: ograničiti štetu, istražiti kako se napad dogodio, čisto obnoviti sustave, podnijeti kaznenu prijavu, komunicirati o incidentu i izvući pouke iz njega.

Ključni pojmovi: ograničavanje štete, izolacija, inicijalni pristup, perzistencija, forenzička istraga, čista reinstalacija, redoslijed oporavka, kaznena prijava, No More Ransom, otkupnina, kiberosiguranje, evaluacija

Najveća pogreška: prebrzo "vratiti sve na staro"

Izrađivač web stranica u utorak dobiva obavijest: WordPress stranica klijenta preusmjerava posjetitelje na lažnu trgovinu. On vraća sigurnosnu kopiju od prošlog tjedna, stranica ponovno radi, gotovo. U četvrtak se sve ponovi. Napadač je ušao preko zastarjelog dodatka (plugina) i ostavio dodatni administratorski račun te skrivenu datoteku. Sigurnosna kopija od prošlog tjedna već je sadržavala te tragove. Vraćanje na staro bez znanja kako je netko ušao, vraća i otvorena vrata.

Isto se događa kod ransomwarea u poslovnoj mreži. Kriminalci često već danima ili tjednima borave unutra prije nego što krenu s enkripcijom. U tom vremenu otvaraju dodatne račune, instaliraju softver za udaljeni pristup i traže sigurnosne kopije. Tko vrati samo enkriptirane datoteke, zadržava napadača unutra.

Zato oporavak ide u pet koraka, ovim redoslijedom.

Korak 1: ograničavanje štete

Ograničavanje štete znači: osigurati da stanje ne postane gore. Prve minute opisane su na Vašoj kartici za postupanje u slučaju incidenta (lekcija 8.1).

• Izolirajte zahvaćene uređaje: izvucite mrežni kabel, isključite Wi-Fi i mobilnu mrežu ili uključite način rada u zrakoplovu. Nizozemski NCSC savjetuje da zahvaćene sustave ne gasite, nego da ih odspojite; stanje mirovanja je dopušteno. Tako se tragovi u radnoj memoriji sačuvaju, a širenje se zaustavlja.
• Odspojite vanjske diskove i medije sa sigurnosnim kopijama i ne priključujte ih na uređaj koji je možda zaražen.
• Ako sustav ne možete izolirati, prekinite vezu s mrežnim diskom. Ako je zahvaćena cijela mreža, odspojite je od interneta (na primjer isključivanjem internetske veze ili vatrozida).
• Promijenite lozinke s čistog uređaja, počevši od najvažnijih: administratorski računi, e-pošta, upravitelj lozinki, banka. Odjavite sve sesije posvuda. Ovo nemojte raditi s računala koje možda sadrži infostealer ili keylogger (lekcija 1.4), jer tada novu lozinku odmah "diktirate" napadaču.
• Sačuvajte dokaze: fotografiju poruke s otkupninom, e-poruke, zahtjeve za plaćanje, kripto adrese, vremena. Ništa ne bacajte.

Kod hakirane web stranice ograničavanje štete znači: privremeno staviti stranicu offline ili u način održavanja, promijeniti sve lozinke (administracija, FTP, baza podataka, hosting) i uključiti Vašeg pružatelja hostinga.

Korak 2: istražite što se dogodilo

Želite saznati tri stvari:

1. Kako su ušli? Inicijalni pristup: phishing poruka, ukradena lozinka bez 2FA, zastarjeli VPN poslužitelj ili dodatak, otvorena veza za udaljenu administraciju.
2. Što su ostavili za sobom? Perzistencija: dodatni računi, planirani zadaci, softver za udaljenu administraciju, pravila za preusmjeravanje u poštanskim sandučićima, dodatne datoteke na web poslužitelju.
3. Što su odnijeli? Kod modernog ransomwarea kriminalci često prvo kopiraju podatke i prijete objavom (dvostruka iznuda, lekcija 1.3). Tada imate i povredu osobnih podataka (lekcija 8.2).

Za malu tvrtku ovo je rijetko izvedivo samostalno. Uključite svog IT dobavljača ili specijaliziranu tvrtku za odgovor na incidente (incident response). Mnoga kiberosiguranja imaju fiksan broj za takav tim. Kod vanjske tvrtke provjerite kakvo iskustvo ima s Vašom vrstom incidenta i unaprijed dogovorite što istraga obuhvaća.

Kod web stranice pomažu zapisnik pristupa i zapisnik pogrešaka web poslužitelja, pregled datoteka na zlonamjerni softver i usporedba s čistom kopijom CMS-a i dodataka.

Korak 3: čisti oporavak

Tek kad znate kako je napadač ušao i kad su ta vrata zatvorena, krećete s oporavkom.

Oporavak provedite redoslijedom koji ste utvrdili u svom planu (lekcije 8.1 i 6.3): prvo ono što je tvrtki potrebno za nastavak rada. Obnovljeni dio držite odvojeno od onoga što još nije provjereno.

Ovdje se pokazuje je li Vaša sigurnosna kopija dobra. Sigurnosna kopija koja je bila spojena na mrežu često je također enkriptirana ili obrisana. Offline ili nepromjenjiva sigurnosna kopija (lekcija 6.2) i testirani postupak vraćanja (lekcija 6.3) čine razliku između nekoliko dana i nekoliko tjedana zastoja.

Korak 4: kaznena prijava, izvješćivanje i otkupnina

Kaznena prijava. Podnesite kaznenu prijavu policiji (https://policija.gov.hr/). Ponesite dokaze (poruku s otkupninom, e-poruke, podatke o plaćanju). Kaznena prijava potrebna je za istragu, pomaže policiji uočiti povezanosti, a osiguravajuća društva je često traže.

No More Ransom. Na https://www.nomoreransom.org (inicijativa, među ostalim, Europola i nizozemske policije) možete provjeriti prepoznaje li se enkriptirana datoteka ili poruka s otkupninom. Za neke obitelji ransomwarea postoji besplatan alat za dešifriranje. Za većinu novijih inačica ne postoji, ali provjera ne oduzima puno vremena.

Izvješćivanje. Provjerite koje su prijave potrebne: povreda osobnih podataka prema AZOP-u u roku od 72 sata (lekcija 8.2), značajan incident putem upisa kod nadležnog tijela ako potpadate pod Zakon o kibernetičkoj sigurnosti (lekcija 9.1), te ono što ste dogovorili s klijentima ili naručiteljima.

Otkupnina. Nizozemski NCSC savjetuje da se otkupnina ne plaća, a policija poručuje "po mogućnosti nemojte plaćati". Razlozi:

• Nemate jamstvo da ćete dobiti ispravan ključ ili da podaci ipak neće biti objavljeni.
• Podaci koje dobijete natrag mogu biti oštećeni ili izmijenjeni.
• Tko plati, postaje poznat kao netko tko plaća. Žrtve ponekad budu ponovno iznuđivane ili kasnije ponovno napadnute.
• Financirate sljedeći napad.

Ako ipak razmišljate o plaćanju, ili ste već platili, uvijek to prijavite policiji: podaci o plaćanju mogu pomoći istrazi. Ova odluka pripada osobi koja donosi odluke prema Vašem planu za incidente, a ne onome tko poruku prvi vidi.

Kiberosiguranje. Kiberosiguranje može pokriti troškove istrage, oporavka i poslovne štete, a često daje pristup timu za odgovor na incidente. Pročitajte uvjete: mnoge police zahtijevaju osnovne mjere poput 2FA i sigurnosnih kopija te traže brzo prijavljivanje. Nizozemski NCSC je u travnju 2025., na temelju istraživanja više od 500 incidenata s ransomwareom kod malih i srednjih poduzeća, naveo da napadači nakon ulaska traže datoteke s nazivima poput "osiguranje" ili "polica" kako bi ojačali svoju pregovaračku poziciju. Zato provjerite koliko lako uljez može pronaći Vašu policu osiguranja i po mogućnosti je ne čuvajte na dijeljenom disku. Osiguranje ne zamjenjuje mjere zaštite: ono plaća štetu, ali je ne sprječava.

Korak 5: komunikacija i učenje

Neka osoba zadužena za komunikaciju iz Vašeg plana ispriča jednu jasnu priču zaposlenicima, klijentima i dobavljačima: što se dogodilo, što to znači za njih, što trebaju napraviti (na primjer: obratite pozornost na poruke koje izgledaju kao da dolaze od nas) i kada će ponovno čuti od Vas. Iskrenost i pravodobnost djeluju bolje nego šutnja do curenja informacija.

Planirajte evaluaciju u roku od nekoliko tjedana: što je dobro prošlo, što je pošlo po zlu, što mijenjate? Gotovo uvijek proizlaze isti zaključci: negdje je nedostajala 2FA, sustav nije bio ažuriran, sigurnosna kopija nije bila testirana ili nitko nije znao tko smije odlučivati. Unesite te točke u plan iz lekcije 9.3, s nositeljem zadatka i datumom.

U praksi: ovako to izgleda

Kod hakirane web stranice na hosting paketu često radite s alatima svog pružatelja hostinga. Kod WebOké to su, na primjer, pregled na zlonamjerni softver (Imunify360), zapisnici (logovi) u DirectAdmin sučelju, vraćanje sigurnosne kopije iz WebOké Backups i plan koraka u DirectAdmin priručniku. Kod drugih pružatelja hostinga postoje slični alati; pitajte svog pružatelja usluga što je dostupno i koliko unatrag sigurnosne kopije sežu, prije nego što Vam to zatreba.

Sažetak

• Oporavak u pet koraka: ograničavanje štete, istraga, čisti oporavak, kaznena prijava i izvješćivanje, komunikacija i učenje.
• Izolirajte, ne gasite uređaje i mijenjajte lozinke isključivo s čistog uređaja.
• Ništa ne vraćajte prije nego što znate kako je napadač ušao; inače vraćate i otvorena vrata.
• Zaražene uređaje ponovno instalirajte i obnovite iz sigurnosne kopije koja prethodi provali.
• Podnesite kaznenu prijavu, provjerite No More Ransom i po mogućnosti ne plaćajte otkupninu.

Kviz

Zadatak

Zadatak A8.3: Posložite oporavak u pravilan redoslijed. Dobit ćete slučaj i deset zasebnih koraka (na primjer "vratiti sigurnosnu kopiju", "izvući mrežni kabel", "utvrditi kako je napadač ušao", "podnijeti kaznenu prijavu"). Posložite ih pravilnim redoslijedom. Program provjerava jesu li zadovoljena fiksna pravila redoslijeda (na primjer: izolacija prije vraćanja, uzrok prije vraćanja, ponovna instalacija prije vraćanja podataka) i za svaku pogrešku objašnjava zašto.

Dodatna literatura

Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 18.2: Moja web stranica je hakirana: plan koraka
• Upomoć! Moja web stranica je hakirana. Kako to riješiti ili spriječiti?
• Skener Imunify360
• WebOké sigurnosne kopije: pregled, vraćanje ili preuzimanje sigurnosne kopije
• Nizozemski NCSC, Što učiniti kod napada ransomwareom?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nizozemski NCSC, Ransomware kod malih i srednjih poduzeća: kibernetički kriminalci povećavaju otkupninu kod kiberosiguranja: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org